Veille sécuritéCMS & e-commerce
P3Critique
Une faiblesse du gestionnaire public de transformation d’images de YOOtheme Pro permet une exécution de code à distance sans authentification. Les versions 5.0.0 à 5.0.52 sont concernées; mettre à jour vers la version 5.0.53.
Joomla
IdentifiantCVE-2026-102785
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifYOOtheme Pro 5.0.53
Source : NVD — CVE-2026-102785
Analyse technique
La signature d’une URL publique d’image ne lie pas suffisamment les opérations d’image normalisées à la destination de sortie. L’exploitation peut permettre d’écrire un fichier contrôlé par l’attaquant dans un répertoire public exécutable.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-22 à 13:17:27.470 UTC, soit 2026-10-22T15:17:27.470+02:00, dans la période demandée. La mise à jour de la fiche le même jour n’est pas retenue comme un événement distinct.
ImpactExécution de code à distance sans authentification.
Versions affectéesYOOtheme Pro 5.0.0 à 5.0.52
Version corrigéeYOOtheme Pro 5.0.53
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS10
Publication2026-10-22T15:17:27.470+02:00
Mise à jour2026-10-22T19:36:46.950+02:00
Action recommandée
Mettre à jour YOOtheme Pro vers la version 5.0.53 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).